W256 2233303-1/33E
Im Namen der republik
Das Bundesverwaltungsgericht hat durch die Richterin Mag. Caroline KIMM als Vorsitzende und den fachkundigen Laienrichterinnen Dr. Claudia Rosenmayr-Klemenz und Mag. Adriana Mandl als Beisitzerinnen über die Beschwerde der XXXX , vertreten durch Putz Rischka Rechtsanwälte KG, gegen die Spruchpunkte 1 und 2b des Bescheids der Datenschutzbehörde vom 16. März 2020, Zl. 2020-0.011.179 wegen Auskunft nach Art 15 DSGVO zu Recht erkannt:
A) Der Beschwerde gegen Spruchpunkte 1. und 2b. wird Folge gegeben und der Spruch des angefochtenen Bescheides dahingehend abgeändert, dass er insgesamt zu lauten hat:
„Die Datenschutzbeschwerde wird als unbegründet abgewiesen.“
B) Die Revision ist gemäß Art 133 Abs 4 B-VG nicht zulässig.
Entscheidungsgründe:
I. Verfahrensgang:
In ihrer Beschwerde vom 16. Mai 2019 behauptete XXXX (im Folgenden: Mitbeteiligte) eine Verletzung in ihrem Recht auf Auskunft. Sie habe bei der Beschwerdeführerin eine kostenlose Selbstauskunft angefordert. Die darauf erteilte Auskunft sei aber u.a. in Bezug auf die Herkunft der Daten und das Zustandekommen einer Bonitätsbewertung mangelhaft geblieben.
Dazu führte die Beschwerdeführerin in ihrer Stellungnahme vom 4. September 2019 aus, sie habe eine verständliche und der DSGVO entsprechende Auskunft an die Mitbeteiligte, auch in Bezug auf die Herkunft der Daten erteilt. Eine Rechtsverletzung durch die Beschwerdeführerin liege daher nicht vor. Sofern die Mitbeteiligte die Bewertung der Bonität bemängle, sei festzuhalten, dass eine solche Bewertung der Beschwerdeführerin in ihrer Rolle als gewerbliche Auskunftei erfolge. Der Mitbeteiligten seien die Kriterien ausreichend bekanntgegeben worden, die Bekanntgabe weiterer Kriterien zu den Bewertungen sei nicht vorgesehen und unterliege dem Geschäfts- und Betriebsgeheimnis der Beschwerdeführerin. Die zur Mitbeteiligten erhobenen Bonitätswerte seien im Übrigen ohnehin nicht an Dritte weitergegeben worden.
Dazu hat sich die Mitbeteiligte im Rahmen des Parteiengehörs nicht geäußert.
Mit dem angefochtenen Bescheid wurde der Beschwerde der Mitbeteiligten teilweise Folge gegeben und festgestellt, dass die erteilte Auskunft unvollständig sei (Spruchpunkt 1). Der Beschwerdeführerin wurde daher in Spruchpunkt 2a. aufgetragen, zu überprüfen, ob weitere Informationen im Hinblick auf die Herkunft der Daten der Mitbeteiligten vorhanden seien, und bejahendenfalls der Mitbeteiligten eine entsprechende Auskunft zu erteilen. Weiters wurde der Beschwerdeführerin in Spruchpunkt 2b. aufgetragen, der Mitbeteiligten aussagekräftige Informationen über die involvierte Logik über die sie betreffende Bonitätsbewertung zu geben. Im Übrigen wurde die Beschwerde der Mitbeteiligten in Spruchpunkt 3. abgewiesen.
Begründend führte die belangte Behörde – sofern hier wesentlich – aus, die Beschwerdeführerin treffe automatisierte Einzelentscheidungen, zumal sie Bonitätsprüfungen durchführe. Mangels Darlegung sonstiger aussagekräftiger Informationen, die geeignet seien, Aufschluss über das Zustandekommen der Score-Werte zu treffen, habe die Beschwerdeführerin der Mitbeteiligten die Möglichkeit genommen, das Zustandekommen der ihr zugeschriebenen Bonitätswerte nachvollziehen zu können. Die Beschwerdeführerin habe auch nicht hinreichend dargelegt, inwiefern die Bereitstellung aussagekräftiger Informationen über die Logik einer automatisierten Entscheidungsfindung im konkreten Fall ein Betriebsgeheimnis darstelle. Die Beschwerdeführerin sei daher gehalten, aussagekräftige Informationen über die involvierte Logik zu geben.
Dagegen richtet sich die vorliegende Beschwerde. Die Beschwerdeführerin habe eine vollständige der DSGVO entsprechende Auskunft und zwar auch in Bezug auf die Herkunft der Daten erteilt. In Bezug auf Spruchpunkt 1. und 2b. führte die Beschwerdeführerin zusammengefasst aus, dass ein Auskunftsanspruch gemäß Art. 15 Abs. 1 lit. h DSGVO gegen die Beschwerdeführerin nicht bestehe, weil sie keine ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung iSd Art. 22 Abs. 1 DSGVO treffe, die Berechnung der Bonität durch die Beschwerdeführerin gegenüber Betroffenen weder rechtliche Wirkungen entfalte, noch sie in ähnlicher Weise erheblich beeinträchtige, zumal es im vorliegenden Fall auch zu gar keiner Weiterleitung der Scorewerte an Dritte gekommen sei.
Mit (nicht bekämpftem) (Teil)Erkenntnis vom 12. September 2022, W256 2233303-1/8E wurde der Beschwerde gegen Spruchpunkt 2a. Folge gegeben und dieser Spruchpunkt ersatzlos behoben. Gleichzeitig wurde das Verfahren in Bezug auf Spruchpunkt 1. und 2b. bis zur Vorabentscheidung des EuGH in den Rechtssachen C-203/22 und C-634/21 gemäß § 17 VwGVG iVm § 38 AVG ausgesetzt.
Am 7. Dezember 2023 erging das Urteil des EuGH in der Rechtssache C-634/21, am 27. Februar 2025 erging das Urteil des EuGH in der Rechtssache C-203/22.
In ihrer dazu ergangenen Stellungnahme vom 9. Juli 2025 wiederholte die Beschwerdeführerin im Wesentlichen ihr bisheriges Vorbringen, wonach es im vorliegenden Fall zu gar keiner Weitergabe bzw. Offenlegung der vorliegenden Scorewerte an Dritte gekommen sei. Die Mitbeteiligte führe in ihrer Beschwerde auch gar keinen konkreten Fall einer (negativen) Entscheidung mit Rechtswirkung an.
Dazu führte die Mitbeteiligte in ihrem Schreiben vom 21. September 2025 über Aufforderung aus, der Umstand, dass „vermeintlich“ keine konkreten an Dritte übermittelten Scores vorlägen, ändere am Bestehen des Auskunftsrechtes nichts. Dabei sei dem Umstand Rechnung zu tragen, dass bereits die konkreten Informationen vorliegen, die im Rahmen einer Bonitätsbewertung herangezogen werden würden. Demnach sei die Gewichtung dieser Informationen offenzulegen. Hinsichtlich etwaiger (negativer) Auswirkungen wolle Sie festhalten, dass sie zum damaligen Zeitpunkt auf Wohnungssuche gewesen und tatsächlich zweimal abgelehnt worden sei. (Negative) Auswirkungen würden im Übrigen keine Voraussetzung für die Anwendbarkeit von Art 22 DSGVO darstellen, zumal sich solche ohnedies erst im Nachhinein herausstellen würden. Es könne nicht von Umständen, die sich erst im Nachhinein herausstellen würden, abhängen, ob eine Entscheidung im Sinne des Art 22 DSGVO vorliege. Art 14 Abs. 2 lt g DSGVO wäre bei einer solchen Interpretation z.B. nie anwendbar. Dementsprechend halte auch der EUGH fest, dass eine Bonitätsbewertung unter Art 22 DSGVO zu subsumieren sei, wenn von diesem Wahrscheinlichkeitswert maßgeblich abhänge, ob ein Dritter, dem dieser Wahrscheinlichkeitswert übermittelt werde, ein Vertragsverhältnis mit dieser Person begründe, durchführe oder beende. Das sei auch der Fall, wenn der Vertrag begründet - also abgeschlossen – werde. Ein Auskunftsrecht nach Art 15 Abs 1 lit h DSGVO bestehe auch außerhalb des Anwendungsbereichs von Art 22 DSGVO etwa in Fällen des Profilings. Dies könne aus der Formulierung „zumindest in diesen Fällen“ in Art 15 Abs. 1 lit h DSGVO entnommen werden.
Über Aufforderung von Seiten des Gerichts teilte die Mitbeteiligte in ihrem Schreiben vom 10. Februar 2026 mit, dass sie keine näheren Angaben zu ihrer damaligen Wohnungssuche und damit verbunden auch nicht dazu, ob die vorliegenden Scorewerte darauf bzw. in irgendeiner Form einen (negativen) Einfluss auf sie gehabt hätten, machen könne. Dies sei aber auch nicht entscheidend, da es – wie bereits von ihr dargelegt – darauf gar nicht ankomme.
II. Das Bundesverwaltungsgericht hat erwogen:
1. Sachverhalt:
Die Beschwerdeführerin betreibt das Gewerbe der Kreditauskunftei gemäß § 152 Gewerbeordnung, welches diese u.a. zur Erteilung von Auskünften zur Kreditwürdigkeit an Dritte berechtigt.
Dazu nutzt die Beschwerdeführerin auch automatisierte Verarbeitungsvorgänge in der Weise, dass sie anhand der ihr verfügbaren Informationen die Wahrscheinlichkeit eines Zahlungsausfalles bzw. einer Zahlungsauffälligkeit einer Person und damit ihre Bonität prognostiziert (sogenannte automatisiert errechnete Score-Werte). Solche Score-Werte werden auf Anfrage erstellt und an Dritte (Vertragspartner) übermittelt.
Über Ersuchen der Mitbeteiligten wurde dieser von Seiten der Beschwerdeführerin mit Schreiben vom 23. Februar 2019 eine Auskunft nach Art 15 DSGVO erteilt.
Darin wurde der Mitbeteiligten u.a. mitgeteilt, dass die Beschwerdeführerin zur Mitbeteiligten neben den allgemeinen Daten, wie Name, Adresse, Geburtsdatum usw. auch 3 näher dargestellte Bonitätswerte und zwar einen RiskIndicator, einen WirtschaftlichkeitsIndex und ein KKE-Score verarbeitet.
Diese 3 Bewertungen wurden von der Beschwerdeführerin weder an Dritte weitergegeben, noch haben sich diese ansonsten für die Mitbeteiligte in irgendeiner Form ausgewirkt.
2. Beweiswürdigung:
Der oben wiedergegebene Verfahrensgang und der festgestellte Sachverhalt ergeben sich aus dem Verwaltungs- und Gerichtsakt und ist dieser im Wesentlichen unstrittig.
Die Beschwerdeführerin führte im gesamten Verfahren konstant aus, dass es in Bezug auf die Bonitätswerte zu keinen Weitergaben an Dritte bzw. auch sonst aufgrund dieser zu keinen Auswirkungen für die Mitbeteiligte gekommen ist und steht dies auch im Einklang mit ihrer an die Mitbeteiligte erteilten Auskunft. Die Mitbeteiligte bestreitet diese fehlende Weitergabe bzw. diese fehlenden Auswirkungen im Wesentlichen auch nicht. Zwar führte sie dazu im Verfahren aus, es sei (nur) „vermeintlich“ zu keiner Weitergabe ihrer Bonitätswerte gekommen. Nähere Ausführungen und vor allem Nachweise dazu, dass es entgegen dem Vorbringen der Beschwerdeführerin sehr wohl zu einer konkreten Übermittlung ihrer Bonitätswerte an Dritte bzw. auch ansonsten zu irgendwelchen Auswirkungen für sie aufgrund dieser Bonitätswerte gekommen ist, wurden jedoch – trotz ausdrücklicher Aufforderung von Seiten des Gerichts – von ihr nicht erstattet. Vielmehr beschränkte sie ihr diesbezügliches Vorbringen umgekehrt darauf, dass es auf eine solche Weitergabe bzw. einen (negativen) Einfluss auch gar nicht ankomme. Angesichts der insofern offenbar rein spekulativen Annahme der Mitbeteiligten, es sei nur „vermeintlich“ zu keinen Weitergaben gekommen, bestanden daher für das Gericht keine Gründe, das diesbezüglich einheitliche und in sich schlüssige Vorbringen der Beschwerdeführerin in Abrede zu stellen.
3. Rechtliche Beurteilung:
zu Spruchpunkt A)
Die hier wesentlichen Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung; DSGVO) lauten auszugsweise wie folgt:
„[Erwägungsgründe] (63) Eine betroffene Person sollte ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können. [...] Dieses Recht sollte die Rechte und Freiheiten anderer Personen, etwa Geschäftsgeheimnisse oder Rechte des geistigen Eigentums und insbesondere das Urheberrecht an Software, nicht beeinträchtigen. Dies darf jedoch nicht dazu führen, dass der betroffenen Person jegliche Auskunft verweigert wird. [...]
[...]
(71) Die betroffene Person sollte das Recht haben, keiner Entscheidung - was eine Maßnahme einschließen kann - zur Bewertung von sie betreffenden persönlichen Aspekten unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung beruht und die rechtliche Wirkung für die betroffene Person entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, wie die automatische Ablehnung eines Online-Kreditantrags oder Online-Einstellungsverfahren ohne jegliches menschliche Eingreifen. Zu einer derartigen Verarbeitung zählt auch das ‚Profiling‘, das in jeglicher Form automatisierter Verarbeitung personenbezogener Daten unter Bewertung der persönlichen Aspekte in Bezug auf eine natürliche Person besteht, insbesondere zur Analyse oder Prognose von Aspekten bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben oder Interessen, Zuverlässigkeit oder Verhalten, Aufenthaltsort oder Ortswechsel der betroffenen Person, soweit dies rechtliche Wirkung für die betroffene Person entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. [...] In jedem Fall sollte eine solche Verarbeitung mit angemessenen Garantien verbunden sein, einschließlich der spezifischen Unterrichtung der betroffenen Person und des Anspruchs auf direktes Eingreifen einer Person, auf Darlegung des eigenen Standpunkts, auf Erläuterung der nach einer entsprechenden Bewertung getroffenen Entscheidung sowie des Rechts auf Anfechtung der Entscheidung.
Um unter Berücksichtigung der besonderen Umstände und Rahmenbedingungen, unter denen die personenbezogenen Daten verarbeitet werden, der betroffenen Person gegenüber eine faire und transparente Verarbeitung zu gewährleisten, sollte der für die Verarbeitung Verantwortliche geeignete mathematische oder statistische Verfahren für das Profiling verwenden, technische und organisatorische Maßnahmen treffen, mit denen in geeigneter Weise insbesondere sichergestellt wird, dass Faktoren, die zu unrichtigen personenbezogenen Daten führen, korrigiert werden und das Risiko von Fehlern minimiert wird, und personenbezogene Daten in einer Weise sichern, dass den potenziellen Bedrohungen für die Interessen und Rechte der betroffenen Person Rechnung getragen wird und unter anderem verhindern, dass es gegenüber natürlichen Personen aufgrund von Rasse, ethnischer Herkunft, politischer Meinung, Religion oder Weltanschauung, Gewerkschaftszugehörigkeit, genetischer Anlagen oder Gesundheitszustand sowie sexueller Orientierung zu diskriminierenden Wirkungen oder zu einer Verarbeitung kommt, die eine solche Wirkung hat. Automatisierte Entscheidungsfindung und Profiling auf der Grundlage besonderer Kategorien von personenbezogenen Daten sollten nur unter bestimmten Bedingungen erlaubt sein.
[...]
„Art 4
Begriffsbestimmungen
[..]
7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
[…]
Artikel 12
Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person
(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.
(2) Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22. In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.
(3) Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.
(4) Wird der Verantwortliche auf den Antrag der betroffenen Person hin nicht tätig, so unterrichtet er die betroffene Person ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde einzulegen oder einen gerichtlichen Rechtsbehelf einzulegen.
[..]
Art 15 Auskunftsrecht der betroffenen Person
(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:
a) die Verarbeitungszwecke;
b) die Kategorien personenbezogener Daten, die verarbeitet werden;
c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;
f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
[…]
Artikel 22
Automatisierte Entscheidungen im Einzelfall einschließlich Profiling
(1) Die betroffene Person hat das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung - einschließlich Profiling - beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.
[…]“
Art 15 DSGVO räumt der betroffenen Person das Recht ein, vom jeweiligen Verantwortlichen eine näher dargestellte Auskunft zu verlangen. Sofern eine Verarbeitung personenbezogener Daten vorliegt, kann die betroffene Person zum einen Auskunft über diese Daten selbst fordern, zum anderen Auskunft über eine erhebliche Zahl von Informationen, die sich auf die Verarbeitung dieser Daten beziehen (vgl. Ehmann in Ehmann/Selmayr [Hrsg], Datenschutz-Grundverordnung², Art. 15, Rn 15).
Dazu zählt nach Art 15 Abs. 1 lit h DSGVO der Anspruch auf Information über das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — auf Erhalt aussagekräftiger Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person. Diese zusätzliche Auskunftspflicht entspricht wortgleich der proaktiven, also ohne entsprechende Aufforderung den Verantwortlichen treffenden Informationspflicht des Art 13 Abs. 2 lit f DSGVO und Art 14 Abs. 2 lit g DSGVO.
Art 15 Abs. 1 lit h DSGVO (wie auch Art 13 Abs. 2 lit f und Art 14 Abs. 2 lit g DSGVO) stellt somit klar, dass auf jeden Fall („zumindest“) bei Vorliegen einer automatisierten Entscheidungsfindung nach Art 22 DSGVO zusätzliche Informationen nach Art 15 Abs. 1 lit h DSGVO vom Verantwortlichen bereitzustellen sind. Dass – wie von der Mitbeteiligten angenommen – eine solche Informationspflicht aufgrund der Wortfolge „zumindest in den Fällen“ auch auf sonstige automatisierte Verarbeitungsvorgänge außerhalb des Anwendungsbereiches des Art 22 DSGVO zu übertragen ist, kann dieser Bestimmung nicht entnommen werden und deckt sich dies auch mit EG 71, der die vorgesehene „spezifische“ Unterrichtung nicht nur ausschließlich im Zusammenhang mit einer Entscheidung nach Art 22 DSGVO nennt, sondern diese auch mit den mit einer solchen Entscheidung verbundenen erhöhten Risiken für betroffene Personen und der insofern erforderlichen erhöhten Transparenz begründet.
Dementsprechend hielt auch der Gerichtshof der Europäischen Union (EuGH) in seinem Urteil vom 7. Dezember 2023 C 634/21, Rn 56ff unter Hinweis auf den erhöhten Schutzzweck des Art 22 DSGVO fest, dass im Falle einer automatisierten Entscheidungsfindung im Sinne des Art 22 Abs. 1 DSGVO der Verantwortliche nicht nur zusätzlichen Informationspflichten nach Art 13 Abs. 2 lit. f und Art 14 Abs. 2 lit g DSGVO unterliegt, sondern der betroffenen Person in diesem Fall auch ein zusätzliches Auskunftsrecht nach Art 15 Abs. 1 lit h DSGVO eingeräumt wird. Ebenso hat der EuGH in seinem Urteil vom 27. Februar 2025, C-203/22 ausgesprochen, dass gemäß EG 71 die betroffene Person, wenn sie einer Entscheidung unterworfen wird, die ausschließlich auf einer automatisierten Verarbeitung beruht, die sie erheblich beeinträchtigt, das Recht auf Erläuterung dieser Entscheidung haben muss. Unter Bezugnahme auf diese Rechtsprechung des EuGH stellte auch der Verwaltungsgerichtshof (VwGH) in seinem Erkenntnis vom 17. Dezember 2025, Ro 2023/04/0029, Rn. 5.2. explizit klar, dass für einen Auskunftsanspruch nach Art 15 Abs. 1 lit h DSGVO zwingend eine automatisierte Entscheidung im Einzelfall gemäß Art 22 DSGVO erforderlich ist.
Der EuGH hatte bereits in seinem Urteil vom 7. Dezember 2023, C-634/21 die Frage zu beurteilen, ob eine automatisierte Erstellung eines auf personenbezogene Daten zu einer Person gestützten Wahrscheinlichkeitswertes in Bezug auf deren Fähigkeit zur Erfüllung künftiger Zahlungsverpflichtungen durch eine Wirtschaftsauskunftei als eine automatisierte Entscheidung im Einzelfall nach Art. 22 Abs. 1 DSGVO zu qualifizieren ist, wenn von diesem Wahrscheinlichkeitswert maßgeblich abhängt, ob ein Dritter, dem dieser Wahrscheinlichkeitswert übermittelt wird, ein Vertragsverhältnis mit dieser Person begründet, durchführt oder beendet.
Der EuGH hielt darin fest, dass die Anwendbarkeit der Bestimmung des Art. 22 Abs. 1 DSGVO von drei kumulativen Voraussetzungen abhängt, nämlich davon, dass erstens eine „Entscheidung“ vorliegen muss, zweitens diese Entscheidung „ausschließlich auf einer automatisierten Verarbeitung, – einschließlich Profiling – [beruhen]“ muss und drittens sie „gegenüber [der betroffenen Person] rechtliche Wirkung“ entfalten oder sie „in ähnlicher Weise erheblich“ beeinträchtigen muss (EuGH, 07.12.2023, C-634/21, Rn 43).
Zum Vorliegen einer Entscheidung stellte der EuGH unter Bezugnahme auf Erwägungsgrund 71 und den Ausführungen des Generalanwaltes in seinen Schlussanträgen klar, dass nicht nur die Vergabe oder Nichtvergabe eines Kredites, sondern schon die Bewertung persönlicher Aspekte, die eine Person betreffen und diese in vielerlei Hinsicht, so u.a. sozial beeinträchtigen können, an sich als eine Entscheidung im Sinne des Art. 22 Abs. 1 DSGVO zu qualifizieren ist und damit das Ergebnis der Berechnung der Fähigkeit einer Person zur Erfüllung künftiger Zahlungsverpflichtungen in Form eines Wahrscheinlichkeitswertes mit einzuschließen ist (Schlussanträge des Generalanwaltes, 16.03.2023, C-634/21, Rn. 38 und EuGH, 07.12.2023, C-634/21, Rn. 46).
Zum zweiten Erfordernis, dass diese Entscheidung „ausschließlich auf einer automatisierten Verarbeitung, – einschließlich Profiling – [beruhen]“ müsse, führte der EuGH aus, dass die im gegebenen Fall zu beurteilende Bewertung der Bonität durch die Wirtschaftsauskunftei ausschließlich automatisiert und zwar in Form von Profiling im Sinne des Art. 4 Z 4 DSGVO erfolge (EuGH, 07.12.2023, C-634/21, Rn 47). Dabei stützte sich der EuGH explizit auf die Ausführungen des Generalanwaltes. Dieser hielt in seinen Schlussanträgen dazu fest, dass in der Sachverhaltsdarstellung des Vorlagebeschlusses nichts darauf hindeute, dass zusätzlich zu dem von der Wirtschaftsauskunftei angewandten mathematischen und statistischen Verfahren die Score-Werte in irgendeiner Weise maßgeblich durch eine individuelle Bewertung und Einschätzung durch einen Menschen festgelegt worden wären. Folglich sei – so der Generalanwalt – davon auszugehen, dass die Ermittlung des Score-Wertes als Handlung der Wirtschaftsauskunftei „ausschließlich auf einer automatisierten Verarbeitung“ beruhe (Schlussanträge des Generalanwaltes, 16.03.2023, C-634/21, Rn 36).
Auch in Bezug auf die dritte Voraussetzung, nämlich, dass die Entscheidung gegenüber der betroffenen Person „rechtliche Wirkung“ entfalten oder sie „in ähnlicher Weise und zwar erheblich“ beeinträchtigen muss, folgte der EuGH den Schlussanträgen des Generalanwaltes, wonach die Beurteilung der Zahlungsfähigkeit und die daraus resultierende Gewährung oder Nichtgewährung eines Kredites eine erhebliche Beeinträchtigung für die betroffene Person bedeute (EuGH, 07.12.2023, C-634/21, Rn. 48). Es sei im vorliegenden unbeachtlich, dass die Gewährung oder Nichtgewährung eines Kredites nicht bei der für den Score-Wert verantwortlichen Wirtschaftsauskunftei, sondern bei einem Finanzunternehmen als Dritten liege. Entscheidend sei – wohl auch im Hinblick auf das in Art. 22 Abs. 1 DSGVO normierte Erfordernis einer „ausschließlich automationsunterstützten Verarbeitung“ – allein, dass der auf Profiling beruhende Score-Wert der Wirtschaftsauskunftei eine durchschlagende und damit maßgebliche Rolle bei der Vergabe der Kreditverträge durch das Finanzunternehmen spiele. Dies wäre der Fall, wenn im Rahmen dieses Vergabeverfahrens zwar ein Mensch beteiligt wäre, dieser jedoch nicht in der Lage sei, den Kausalzusammenhang zwischen der automatisierten Verarbeitung und der Kreditvergabe zu beeinflussen (Schlussanträge des Generalanwaltes, 16.03.2023, C-634/21, Rn 41 und 44).
Dass die vorliegende automatisierte Bewertung der Bonität der Mitbeteiligten als „Entscheidung“ im Sinne des Art 22 DSGVO zu qualifizieren ist, kann vor dem Hintergrund der Ausführungen des EuGH nicht in Zweifel gezogen werden. Ebenso bestehen im vorliegenden Fall keine Bedenken und wurden solche im gesamten Verfahren im Übrigen auch in keiner Weise aufgezeigt, dass es sich dabei um eine ausschließlich automatisierte Bewertung im Sinne von Profiling nach Art 4 Z 4 DSGVO handelt.
In Bezug auf das oben aufgezeigte dritte Erfordernis nach Art 22 DSGVO, ist aufgrund der obigen Ausführungen zunächst festzuhalten, dass – wie sich im Übrigen auch aus den eindeutigen Ausführungen in EG 71 ergibt – eine automatisierte Bewertung persönlicher Aspekte („Profiling“) nur dann als automatisierte Entscheidung nach Art 22 DSGCVO zu werten ist, wenn diese rechtliche Wirkung für die betroffene Person entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.
Im vorliegenden Fall steht fest, dass die vorliegende Bewertung weder an Dritte weitergegeben wurde, noch ansonsten sich diese für die Mitbeteiligte in irgendeiner Form ausgewirkt oder diese beeinträchtigt hat. Da die vorliegende Bonitätsbewertung somit in keiner Weise Auswirkungen oder sonstige Beeinträchtigungen für die Mitbeteiligte zur Folge hatte, kann diese – nach dem oben Gesagten – auch nicht als automatisierte Entscheidung nach Art 22 DSGVO gewertet werden. Das besondere Auskunftsrecht nach Art 15 Abs. 1 lit h DSGVO kam im vorliegenden Fall daher nicht zur Anwendung.
Da die vorliegend zu beurteilende Bewertung somit überhaupt keine Auswirkungen oder Beeinträchtigungen für die Mitbeteiligte hatte, konnte auch eine nähere Auseinandersetzung mit dem Vorbringen der Mitbeteiligten, für die Anwendbarkeit des Art 22 DSGVO genüge jegliche Form der Beeinträchtigung oder Wirkung und zwar unabhängig davon, ob diese positiv oder negativ für die Mitbeteiligte seien, unterbleiben. Dementsprechend war auch auf die in diesem Zusammenhang getätigten Ausführungen der Mitbeteiligten in Bezug auf die Anwendbarkeit des Art 14 Abs. 2 lit g DSGVO nicht näher einzugehen.
Die Datenschutzbeschwerde wäre daher (auch) in diesem Punkt abzuweisen gewesen, sodass der gegen Spruchpunkt 1 und 2b gerichteten Bescheidbeschwerde Folge zu geben und der Spruch des angefochtenen Bescheides (unter Berücksichtigung der erstinstanzlichen Abweisung in Spruchpunkt 3 sowie der bereits erfolgten ersatzlosen Behebung von Spruchpunkt 2a) dahingehend abzuändern war, dass er insgesamt auf die Abweisung der Datenschutzbeschwerde zu lauten hat.
Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.
Gemäß § 24 Abs. 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.
Im gegenständlichen Fall war der Sachverhalt aus der Aktenlage geklärt bzw. wurde dieser auch nicht (substantiiert) bestritten. Die Heranziehung weiterer Beweismittel war zur Klärung des Sachverhaltes nicht notwendig.
zu B) Unzulässigkeit der Revision:
Die Revision ist gemäß Art 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Das Bundesverwaltungsgericht konnte sich für die Lösung der Frage auf einschlägige höchstgerichtliche Rechtsprechung stützen.
Codara Summary
Sachverhalt, Spruch und rechtliche Beurteilung – kompakt zusammengefasst.
Rückverweise
RIS